摘要

  • 第 202002.550 号决议在 2020 年 2 月的董事会决议登记中披露：AFRINIC 称其内部审计发现 IP 资源分配存在重大不当情形，事项已经转交当地警方中央刑事调查部门，并可能需要与其他国家或地区的执法机关合作；这些是机构陈述与转交决定，不是任何个人有罪的结论。
  • 修正 WHOIS 的最终值不能代替保存证据。原始状态、每次变更、操作者、授权依据、时间戳、审批材料、内审底稿以及向警方交付的清单必须彼此可区分，否则“纠错”本身就可能抹去调查与受影响持有人都需要的事实轨迹。
  • AFRINIC 有责任审查自己的账簿、阻止未经授权的继续变更、隔离争议记录、在充分依据上纠正错误并修复控制；但它无权以主权强制手段调查、起诉、定罪、处罚、没收或裁定争议权利归属。
  • 最稳妥的顺序不是“发现异常便立即夺回”，而是冻结证据、限制风险、形成可核验的外部交接、通知受影响一方、让修正有理由且可复核，并以权限分离、双人复核和例外闭环减少再次发生的机会。
  • 决议的公共价值在于让一项内审发现、警方转交和国际合作意向可见；它没有公开完整的证据目录、保全哈希、交接回执、警方卷宗或最终司法结论，因此对后续执行质量的判断必须保留不确定性。

L3 — 先冻结证据，再修正记录

设想一个具体而并不戏剧化的工作场景。内审人员把某项地址资源的分配文件与审批记录并排查看，又查询当前公开登记行，三者没有形成同一个答案。文件显示一种状态，审批链支持另一种状态，数据库里却出现第三种状态。此刻，屏幕上的最终行只是“现在数据库怎么写”，不是“现实中发生了什么”的完整证据。如果管理员直接覆盖这一行，新的记录或许更接近其判断中的正确结果，却可能同时毁掉旧值、变更顺序和责任边界。正确的第一问不是“该把字段改成什么”，而是“哪些状态和动作必须在任何修正之前被固定下来”。

这一区分解释了为什么第 202002.550 号决议不能只被读成一则机构发现异常并报警的消息。决议真正暴露的是两个时钟同时启动：调查时钟要求原始材料不受污染，服务时钟则要求错误或受到操纵的登记数据不能无限期继续影响依赖者。只顾前者，登记机构可能让明显异常的公开信息长期存在；只顾后者，又可能让一次善意修正把证据链压扁成一个无法复原的终值。两者的冲突只能靠顺序、隔离和可追溯性来管理，不能靠一句“数据库已经恢复正确”来消解。

所谓冻结证据，不等于把整套服务停止，也不等于预先认定某项行为构成犯罪。它首先是保存可重复核验的状态：相关分配申请、支持材料、审批意见、工单、数据库快照、字段级变更历史、操作者账户、访问日志、时间戳、权限授予与撤销记录，以及内审用来得出初步判断的工作底稿。每一项材料都应保留来源、取得时间和完整性信息。复制件与原件要能区分；用于继续运营的工作副本与交给调查机关的证据副本也要能区分。只有这样，后来的人才可能回答某一变化是原始事实、正常业务动作、内审取证动作，还是事后修复动作。

这套保存要求同时保护调查机关和被记录影响的人。对调查机关而言，它避免证据在公司内部被无意改写，使外部调查不必依赖一份事后整理且无法验证来源的叙述。对合法持有人或运营者而言，它保留了证明自身申请、授权、付款、部署与持续运营情况的机会，也防止登记机构把“自己掌握数据库写权限”误当成“自己已经证明权利归属”。证据保全因此不是只为追责服务的单向工具，而是把指控、解释、纠错和复核放在同一可验证事实基础上的最低条件。

一个可用的证据状态至少要回答六类问题。第一，异常出现前数据库是什么样；第二，哪些字段在何时发生了变化；第三，使用了哪个人员或系统身份；第四，该身份当时具有什么权限、权限由谁批准；第五，变更是否关联正式申请、工单、审批或例外；第六，内审人员如何从这些材料走到其初步判断。这六类问题相互联接，缺一类都可能产生误导。例如，日志显示某账户执行了更新，并不自动证明账户持有人亲自实施；权限记录显示其可以更新，也不说明这一次更新获准；审批文件存在，也不证明数据库变化与文件完全对应。证据链的功能正是防止这些不同命题被压成一个草率结论。

保存原始状态之后，登记机构仍然需要处理正在发生的服务风险。最克制的做法通常不是立即宣布最终归属，而是把争议条目置于受控状态：阻止未经授权的进一步写入，保留对外服务所需的最低稳定信息，标记内部复核需求，并使任何临时处理都有明确理由、期限和审批人。这里的“隔离”是一种风险控制，不是刑罚。它不应被包装成没收，也不应让内部管理员在没有外部法律依据或充分登记证据时，以技术按钮完成本应由法院决定的权利处分。

“先保全、后修正”也不是要求登记机构等到刑事程序全部结束才维护账簿。刑事责任与登记准确性是不同问题，所需证明对象也不同。警方可能调查是否发生违法行为，检察机关决定是否提出指控，法院处理依法进入其权限范围的争议；AFRINIC 则必须判断自身记录能否由分配档案、有效授权和可验证的业务材料支持。只要原始状态已被可靠保存，且对登记修正存在充分、可说明、可复核的依据，它可以纠正自己的记录。这个动作的含义是“账簿应与已核实事实相符”，而不是“登记机构宣布某人犯罪”。

因此，修正动作本身也必须进入证据链。谁提出修正、依据哪些材料、谁独立复核、何时执行、旧值和新值分别是什么、是否通知受影响一方、是否允许提交补充材料、复核结果如何，这些信息不能随着最终行更新而消失。理想状态下，公共数据库只展示适合公开的当前记录，而内部受控档案保留完整的版本与理由。对外准确性与内部可追溯性并不矛盾；恰恰相反，后者是前者获得可信度的条件。

时间戳尤其重要，因为它把发现、保全、限制访问、外部转交和事后修正排列成可检验的序列。如果一份快照是在纠正之后才生成，它不能证明纠正前的原始状态；如果访问权限在异常发生后才撤销，它只能说明风险何时被控制，不能倒推出此前每一次操作由谁完成；如果内审结论经过多轮更新，各版本应分别保留，不能用最终报告覆盖早期观察。时间顺序不是行政细节，而是决定证据能支持什么、不能支持什么的逻辑骨架。

完整性校验同样需要被理解为一种证明工具，而非技术装饰。对导出的日志、快照和文件建立不可混淆的标识与校验值，可以帮助交接双方确认收到的材料与保存时的材料一致。但校验值只能证明比特层面的未变动，不能证明材料内容真实、采集完整或解释正确。一个未被改动的残缺日志仍然残缺，一份完整保存的错误审批仍然可能错误。因而，技术完整性必须和材料来源、采集范围、业务含义及独立复核结合起来。

内审底稿在这条链上有特殊位置。它们记录取样范围、比对方法、发现的例外、尚未解决的矛盾以及结论的形成过程，能帮助外部调查者理解公司为何认为问题值得转交。但底稿不是警方结论，更不是法院裁判。内审人员可以发现控制失效、记录不一致或可能的未经授权动作，却不拥有公共机关的强制取证权，也不应把无法取得的外部事实用推测补齐。把底稿原样保存并清楚标注其内部性质，反而能防止机构意见在流转中被误读为已经完成的公共调查。

第 202002.550 号决议采用了强烈措辞。董事会登记称内部审计“揭示”了 IP 资源分配中的重大 malversation，并使用了 fraud 一词；2 月的更新回指 alleged theft；8 月的声明则称 AFRINIC 有理由相信存在资源被 misappropriated 的情况，同时表示刑事调查仍在继续。准确报道这些词，意味着必须把说话者和文书保留在句子里。它们证明 AFRINIC 当时如何描述所发现的问题、为何选择向警方报告，不证明任何特定人士已经实施犯罪，也不提供最终检控或司法结论。

公开材料留下的空白同样决定了能写到哪里。公众没有看到内审工作底稿、逐项证据目录、完整访问日志、材料校验值、保管链、交接回执或警方卷宗；也没有一份完整的逐条修正清单说明每一项记录何时、依何依据被处理。缺少这些材料并不反过来证明保全没有发生，但它阻止外界把“机构称已配合调查”升级成“证据链已经完整验证”。负责任的分析应在可知处具体，在不可知处停止。

这种克制还要求把“恢复准确”与“恢复信任”分开。一个字段被改正，只能直接改善该字段；信任恢复则取决于人们能否相信修正有可靠证据、流程对相同情形适用一致、受影响一方获得了说明和复核机会、管理员不再能单独制造同类异常。第 202002.550 号决议提供了一个可见起点，却不能仅凭一段董事会文字完成这些后续证明。真正的制度成果要存在于保存记录、交接记录、修正理由和控制测试之中。

从这个角度看，“速度”也需要重新定义。快速覆盖可疑记录并不必然是快速解决；如果它迫使调查者后来重建已丢失的状态，或者让合法持有人为一项不可解释的变化付出长时间申诉成本，总处置时间反而更长。较好的响应是在发现后的最短合理时间内完成可重复的证据冻结，同时用风险隔离保持服务稳定，然后分阶段完成外部转交和正式修正。速度的对象应是控制损害与保存事实，而不是抢先宣布结论。

这也解释了为什么一次事件响应需要清晰的内部角色分离。发现异常的人可以提出保全范围，却不应独自决定最终修正；执行导出的人不应单独确认导出完整；拥有数据库写权限的人不应同时拥有批准自身例外的权力；负责与警方联系的人应能提供清单和回执，却不能替警方定义案件结论。每一处分离都在减少同一个人既创造事实、又验证事实、还解释事实的风险。它不是对工作人员动机的预设怀疑，而是让善意行动能够被后来者信任的结构。

最终，L3 层面的核心不是某一种软件功能，而是一条不可倒置的次序：先固定旧状态与变化证据，再对继续变化施加限制；先把内部判断与原始材料分开，再向有权机关交接；先形成充分且可说明的登记依据，再改变当前记录；每次改变都保留旧值、理由和复核路径。只要这条顺序被倒置，登记机构就可能在试图纠错时削弱调查，或在试图保护服务时伤害持有人的可申辩地位。第 202002.550 号决议的意义，正是迫使人们看见这些环节必须相连，却不能相互替代。